Az a hajszálnyival nagyobb biztonság már nekem bőven elég, hogy egy fizetési szolgáltatónál elvárjam az OV-t.
Hogyan? Lehet, h nem tudok vmit, es van vmi verifikacio ilyen esetre a bongeszokben, akkor pls ird le.
A böngésző ezen a téren nem ellenőriz semmit. Nem is nagyon tudna. Magából a tanúsítványból nem feltétlenül derül ki, hogy DV, OV vagy EV-vel nagy dolgunk. Bár ahogy most nézem a 2.23.140.1.1 és 2.23.140.1.2.1 OID-jú mező tartalmaz erről információt: domain validation, extended validation.
Az OV (organization validation) a folyamatokban nyújt többet. A CA jobban tudja ellenőrizni az igénylő személyét. Bekérnek céges dokumentumokat, személyazonosságot kell igazolni, számlát is kiállítanak, amit valakinek ki kell fizetnie - biztos te is ismered ezen folyamatokat. Ezek a pluszok nekem fontosak egy fizetési szolgáltatónál.
Másrészt mi kell egy DV tanúsítvány igényléséhez? DNS-hez kell tudni hozzáférni, webtárhelyhez. Pont. Ha ezek nincsenek védve MFA-val, akkor még könnyebben tud valaki bejutni rájuk és mókolni a tanúsítványokkal. Ne adj isten a privát kulccsal is.
Azt nem vitatom, hogy szigorúan szűk technikai értelemben (kulcsgenerálás, CA általi aláírás, tanúsítvány telepítés) semmi különbség nincs DV, OV és EV között. Pl: NIST P-384 ugyanazt jelenti mindegyik esetben.
A CF-t vegyük ki a képből a tanúsítvány DV/OV/EV mivolta miatt. Ortogonális rá nézve. Azzal egyetértek, hogy a CF a semminél több IT security szempontból. Mondjuk azt is lehet rosszul használni - láttam már rá példákat.